Публикуя частный контент в интернете нужно быть готовым, что он может стать публичным. Яркое тому подтверждение-найденная дыра в YouTube, позволявшая воровать частные видео. Хотя, скорее всего, разработчики из Google просто не могли подумать, что кто-то придумает такой необычный способ кражи подобных видео. Ведь видео похищали кадр за кадром через изображение предварительного просмотра с помощью рекламных объявлений Google.
При загрузке видео на YouTube пользователи могут выбрать одну из трех опций приватности. Публичная — любой может найти и посмотреть видео. Вне списка — видео доступно лишь тем, кто имеет прямую ссылку на него. Частная — видео могут просмотреть только те аккаунты, которым владелец видео это разрешил.
Заинтересованный в просмотре эксперт сначала загрузил видео на свой канал YouTube в частном режиме, чтобы протестировать возможность стороннего доступа к нему. Он пробовал все знакомые ему способы, из разных браузеров, подделывая запросы HTTP с идентификатором видео и тому подобное. Однако YouTube оставался непробиваемым и не показывал видео, оповещая, что оно защищено настройками приватности.
Когда не удается решить проблему «в лоб» бывает часто оглядеться вокруг. Эксперт так и сделал, начав анализировать сервисы и продукты Google, которые не были основной целью, но каким-то образом взаимодействовали с YouTube. У них могла оказаться не такая устойчивая защита, как у YouTube и при этом они могли иметь доступ к частному контенту.
Слабым звеном оказалась собственная рекламная система Google Ads. Она позволяет встраивать рекламу в видео YouTube. Рекламодатели же могли видеть список видео, в которых демонстрировались их объявления.
Щелкнув на видео из такого списка можно было перейти в раздел аналитики, который имел опцию «моменты». Она позволяет рекламодателям выбирать точный момент начала демонстрации рекламы. При этом аналитика выводила кадр из видео для предварительного просмотра.
Манипулируя временной меткой в «Моментах» можно было получить кадр из видео. При этом аналитика не проверяла ли текущее видео личное и выводила кадр для любого ролика по его идентификатору.
Подставив идентификатор частного ролика и указав нужный момент можно было получить кадр из частного видео YouTube. Оставалось лишь автоматизировать процесс, создав скрипт, который увеличивает временную метку на 33 миллисекунды (частота кадров 24 fps), сохраняет полученный кадр и «сшивает» их в одно видео.
У предложенного метода есть один недостаток-видео не имеет звука. Однако видеоряд доступен в полном объеме, хотя и в невысоком разрешении.
Баг был найден еще в 2019 году и эксперт известил Google о нем и спросил как оказалось возможным существование такой дыры. Поисковый гигант не дал ответа, но принял баг в работу и в январе 2021 года сообщил о его закрытии. Google сперва просто отключил опцию «моменты», доработав ее, чтобы она проверяла права доступа к видео.
За старания эксперт получил $5000, а за несколько дней – опубликовал эту историю.
По материалам: bugs.xdavidhu.me
